首页 / PYTHON / python和django的目录遍历漏洞(任意文件读取)

python和django的目录遍历漏洞(任意文件读取)

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了python和django的目录遍历漏洞(任意文件读取)，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含2952字，纯文字阅读大概需要5分钟。

内容图文

1. 什么是目录遍历漏洞

“目录遍历漏洞”的英文名称是Directory Traversal 或 Path Traversal。指攻击者通过在URL或参数中构造

  • ../
  • ..%2F
  •  /%c0%ae%c0%ae/
  • %2e%2e%2f

或类似的跨父目录字符串，完成目录跳转，读取操作系统各个目录下的敏感文件。很多时候，我们也把它称作“任意文件读取漏洞”。

2. Python和Django的目录遍历漏洞

历史上python和django曾爆出多个目录遍历漏洞，例如：

  1. CVE-2009-2659  Django directory traversal flaw
  2. CVE-2013-4315   python-django: directory traversal with “ssi” template tag
  3. Python CGIHTTPServer File Disclosure and Potential Code Execution

内置的模块和Django模板标签，均受过影响。程序员稍不谨慎，就可能写下有漏洞的代码。

3. 漏洞代码示例

为了演示漏洞的原理，我们写了一段存在明显漏洞的代码：

# -*- coding: utf-8 -*-
import sys
import SocketServer
import BaseHTTPServer
import threading
import time
import exceptions
import os


class MyHttpRequestHandler(BaseHTTPServer.BaseHTTPRequestHandler):
    def do_GET(self):
        self.send_response(200)
        self.send_header('Content-type','text/plain')
        self.end_headers()
        if os.path.isfile(self.path):
            file = open(self.path)
            self.wfile.write(file.read())
            file.close()
        else:
            self.wfile.write('hello world')

        
class ThreadedHttpServer(SocketServer.ThreadingMixIn, SocketServer.TCPServer):
    __httpd = None

    @staticmethod
    def get():
        if not ThreadedHttpServer.__httpd:
            ThreadedHttpServer.__httpd = ThreadedHttpServer(('0.0.0.0', 80), MyHttpRequestHandler)
        return ThreadedHttpServer.__httpd


def main():
    try:
        httpd = ThreadedHttpServer.get()
        httpd.serve_forever()
    except exceptions.KeyboardInterrupt:
        httpd.shutdown()
    except Exception as e:
        print e


if __name__ == '__main__':
    main()

在处理GET请求时，我直接取path，然后使用open函数打开path对应的静态文件，并HTTP响应文件的内容。这里出现了一个明显的目录遍历漏洞，对path未做任何判断和过滤。

当我请求http://localhost/etc/passwd时，self.path对应的值是/etc/passwd，而open(‘/etc/passwd’)，自然可以读取到passwd文件。

python和django的目录遍历漏洞(任意文件读取) - 文章图片

那攻击者为什么要构造/../../../../../../etc/passwd呢？ 这是为了防止程序过滤或丢失最左侧的/符号，让起始目录变成脚本当前所在的目录。攻击者使用多个..符号，不断向上跳转，最终到达根/，而根/的父目录就是自己，因此使用再多的..都无差别，最终停留在根/的位置，如此，便可通过绝对路径去读取任意文件。

python和django的目录遍历漏洞(任意文件读取) - 文章图片

4. 漏洞扫描

该漏洞扫描有多种扫描方法，可使用nmap的http-passwd脚本扫描（http://nmap.org/nsedoc/scripts/http-passwd.html），用法：

nmap –script http-passwd –script-args http-passwd.root=/test/ IP地址

python和django的目录遍历漏洞(任意文件读取) - 文章图片

还可以写几行python脚本，检查HTTP响应中是否存在关键字，只需几行代码，主要是：

import httplib
conn = httplib.HTTPConnection(host, timeout=20)
conn.request('GET', '/../../../../../../../../../etc/passwd')
html_doc = conn.getresponse().read()

还发现一些小伙伴通过curl来检查主机是否存在漏洞，确实也很方便:

curl http://localhost/../../../../../../../etc/passwd

5. 漏洞修复

针对低版本的django和python引入的目录遍历，可选择升级python和django。

若是开发自行处理URL不当引入，则可过滤self.path，递归地过滤掉”..“，并限定号base_dir。 当发现URL中存在..，可直接响应403。

转自：http://www.lijiejie.com/python-django-directory-traversal/

内容总结

以上是互联网集市为您收集整理的python和django的目录遍历漏洞(任意文件读取)全部内容，希望文章能够帮你解决python和django的目录遍历漏洞(任意文件读取)所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/836546.html

来源：【匿名】